Menghubungkan ke instans menggunakan Session Manager CLI (ali-instance-cli) - Elastic Compute Service

Hubungkan ke Instance ECS tanpa kata sandi atau Alamat IP publik sebagai alternatif aman menggantikan SSH dan RDP.

Apa itu Session Manager CLI?

Session Manager CLI (ali-instance-cli) adalah alat Alibaba Cloud CLI yang menghubungkan ke Instance ECS melalui Session Manager.

Anda juga dapat menggunakan ali-instance-cli bersama Alibaba Cloud CLI untuk operasi baris perintah.

Prasyarat

Aktifkan layanan Session Manager

Aktifkan layanan Session Manager untuk Akun Alibaba Cloud Anda di Konsol:

Buka ECS console - Instances.
Pada bilah navigasi atas, pilih wilayah dan kelompok sumber daya untuk instans tersebut.
Pada halaman Instance, temukan instans target dan klik Connect di kolom Actions.
Klik Show Other Logon Methods. Temukan Session Manager. Aktifkan sakelar di samping Session Management closed. Lalu, ikuti petunjuk di layar untuk mengaktifkan layanan tersebut.

Periksa apakah instans berada dalam status Running

Session Manager mengharuskan instans berada dalam status Running.

Konsol

Lihat status instans pada halaman Instance di Konsol ECS.

Lihat View instance information.

Alibaba Cloud CLI

Jika Anda telah mengonfigurasi Alibaba Cloud CLI, jalankan perintah berikut untuk mengekueri status instans. Untuk detail parameter, lihat DescribeInstanceStatus.

Topik ini menggunakan contoh instans dengan ID i-bp1****** di wilayah China (Hangzhou).

aliyun ecs DescribeInstanceStatus --region cn-hangzhou --RegionId 'cn-hangzhou' --InstanceId.1 'i-bp1******'

Jika Status bernilai Running, maka instans sedang berjalan.

{
  "TotalCount": 1,
  "RequestId": "A413****-****-****-****-****611B",
  "PageSize": 1,
  "PageNumber": 1,
  "InstanceStatuses": {
    "InstanceStatus": [
      {
        "Status": "Running",
        "InstanceId": "i-bp1******"
      }
    ]
  }
}

Anda juga dapat menggunakan DescribeInstances untuk mengekueri status instans.

API

Lihat DescribeInstanceStatus atau DescribeInstances.

Periksa apakah Cloud Assistant Agent telah terinstal

Session Manager memerlukan Cloud Assistant. Gunakan salah satu metode berikut untuk memeriksa apakah Cloud Assistant Agent telah terinstal pada instans.

Instance ECS yang dibuat dari gambar publik resmi setelah 1 Desember 2017 telah memiliki Cloud Assistant Agent pra-instal. Untuk instans yang dibuat sebelum tanggal tersebut atau dari gambar kustom yang diunggah, instal Cloud Assistant Agent secara manual.

Konsol

Session Manager bergantung pada Cloud Assistant. Instal Cloud Assistant Agent pada instans dan periksa statusnya di halaman Cloud Assistant ECS di Konsol ECS.

Cloud Assistant Agent telah dipra-instal pada Instance ECS yang dibuat dari gambar publik Alibaba Cloud setelah 1 Desember 2017. Untuk instans yang lebih lama, instal Cloud Assistant Agent secara manual. Lihat Install the Cloud Assistant Agent.

Lihat Memeriksa Status Asisten Cloud dan Mengatasi Pengecualian.

Alibaba Cloud CLI

Jika Anda telah mengonfigurasi Alibaba Cloud CLI, jalankan perintah berikut untuk memeriksa instalasi Cloud Assistant Agent dan dukungan Session Manager. Untuk detail parameter, lihat DescribeCloudAssistantStatus.

Topik ini menggunakan contoh instans dengan ID i-bp1****** di wilayah China (Hangzhou).

aliyun ecs DescribeCloudAssistantStatus --region cn-hangzhou --RegionId 'cn-hangzhou' --InstanceId.1 'i-bp1******'

Jika CloudAssistantStatus bernilai true dan SupportSessionManager bernilai true, maka instans mendukung koneksi Session Manager.

{
  "TotalCount": 1,
  "PageSize": 1,
  "RequestId": "DB34****-****-****-****-****A749",
  "NextToken": "",
  "PageNumber": 1,
  "InstanceCloudAssistantStatusSet": {
    "InstanceCloudAssistantStatus": [
      {
        "CloudAssistantVersion": "2.2.3.857",
        "SupportSessionManager": true,
        "InstanceId": "i-bp1******",
        "InvocationCount": 4,
        "OSType": "Linux",
        "CloudAssistantStatus": "true",
        "LastHeartbeatTime": "2024-12-10T02:38:04Z",
        "LastInvokedTime": "2024-12-08T16:02:45Z",
        "ActiveTaskCount": 0
      }
    ]
  }
}

API

Lihat DescribeCloudAssistantStatus.

Siapkan kredensial Pengguna RAM untuk Session Manager

Saat menggunakan ali-instance-cli, Anda harus menentukan AccessKey pair dan Security Token Service (STS) token dari Pengguna RAM. Saat Anda menghubungkan ke instans menggunakan Session Manager, sistem akan memverifikasi apakah Pengguna RAM yang memiliki kredensial tersebut juga memiliki izin ecs:StartTerminalSession.

Saat mengonfigurasi kebijakan kustom, Anda dapat mengatur parameter Resource untuk menentukan Instance ECS mana yang dapat diakses oleh Pengguna RAM melalui Session Manager. Contoh kebijakan:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ecs:StartTerminalSession",
      "Resource": "*"
    }
  ]
}

Untuk informasi tentang parameter CredentialsURI dan STS Token, lihat Create an AccessKey pair dan What is Security Token Service (STS)?

Untuk informasi tentang cara memberikan izin kepada Pengguna RAM, lihat Grant permissions to a RAM user.

1. Instal dan konfigurasikan Session Manager CLI

Catatan

Lewati langkah ini jika Anda telah menginstal dan mengonfigurasi Session Manager CLI.

1.1 Instal

Instal Session Manager CLI (ali-instance-cli) di komputer Anda. Metode instalasi bervariasi tergantung sistem operasi.

Windows

Klik untuk mengunduh ali-instance-cli untuk Windows dan simpan ke folder lokal.

Topik ini menggunakan folder C:\Users\test sebagai contoh.

macOS

Di terminal macOS, unduh ali-instance-cli untuk macOS:

curl -O https://aliyun-client-assist.oss-accelerate.aliyuncs.com/session-manager/mac/ali-instance-cli

Berikan izin eksekusi:

chmod a+x ali-instance-cli

Linux

Instal ali-instance-cli untuk Linux:

arsitektur x86

curl -O https://aliyun-client-assist.oss-accelerate.aliyuncs.com/session-manager/linux/ali-instance-cli

arsitektur arm

curl -O https://aliyun-client-assist.oss-cn-beijing.aliyuncs.com/session-manager/linux_arm/ali-instance-cli

Berikan izin eksekusi:

chmod a+x ali-instance-cli

1.2 Konfigurasi

Untuk menghubungkan ke Instance ECS dengan ali-instance-cli, konfigurasikan kredensial identitas seperti AccessKey. Lihat Prepare the credentials of a RAM user for Session Manager.

Windows

Klik Start > Run, masukkan cmd, lalu tekan tombol Enter untuk membuka jendela command prompt.
Buka direktori ali-instance-cli.exe. Contoh ini menggunakan C:\Users\test.
```
cd C:\Users\test
```
Konfigurasikan kredensial menggunakan salah satu metode berikut:
AccessKey

Konfigurasikan AccessKey ID, AccessKey secret, dan Region ID sesuai permintaan:
```
ali-instance-cli.exe configure --mode AK
```
STS Token

Lengkapi konfigurasi:
```
ali-instance-cli.exe configure set --mode StsToken --region "<region>" --access-key-id "<ak>"  --access-key-secret "<sk>"   --sts-token "<sts_token>"
```
Ganti <region>, <ak>, <sk>, dan <sts_token> dengan ID wilayah, AccessKey ID, AccessKey secret, dan STS token aktual Anda.
CredentialsURI

Masukkan Credentials URI dan Region ID sesuai permintaan:
```
ali-instance-cli.exe configure --mode=CredentialsURI
```
Output berikut menunjukkan konfigurasi berhasil.

macOS/Linux

Buka direktori ali-instance-cli. Contoh ini menggunakan direktori home ~.
```
cd ~
```
Konfigurasikan kredensial:
AccessKey

Konfigurasikan AccessKey ID, AccessKey secret, dan Region ID sesuai permintaan:
```
./ali-instance-cli configure --mode AK
```
STS Token

Lengkapi konfigurasi:
```
./ali-instance-cli configure set --mode StsToken --region "<region>" --access-key-id "<ak>"  --access-key-secret "<sk>"   --sts-token "<sts_token>"
```
Ganti <region>, <ak>, <sk>, dan <sts_token> dengan ID wilayah, AccessKey ID, AccessKey secret, dan STS token aktual Anda.
CredentialsURI

Konfigurasikan Credentials URI dan Region ID sesuai permintaan:
```
./ali-instance-cli configure --mode=CredentialsURI
```
Output berikut menunjukkan konfigurasi berhasil.

2. Menghubungkan ke instans menggunakan Session Manager

2.1 Dapatkan ID instans

Dapatkan ID instans sebelum menghubungkan dengan Session Manager.

Konsol

Buka ECS console - Instances.
Pada bilah navigasi atas, pilih wilayah dan kelompok sumber daya untuk instans tersebut.
Pada halaman Instance, temukan instans yang ingin Anda hubungkan. ID instans ditampilkan pada gambar.

Alibaba Cloud CLI

Jika Anda telah mengonfigurasi Alibaba Cloud CLI, jalankan perintah berikut untuk mendapatkan ID instans. Untuk detail parameter, lihat DescribeInstances.

Topik ini menggunakan contoh instans bernama SessionManager-example di wilayah China (Hangzhou).

aliyun ecs DescribeInstances --region cn-hangzhou --RegionId 'cn-hangzhou' --InstanceName 'SessionManager-example'

Nilai InstanceId dalam respons adalah ID instans.

API

Lihat DescribeInstances.

2.2 Gunakan fitur Session Manager dari ali-instance-cli

Komputer lokal: Windows

Di command prompt, buka direktori ali-instance-cli.exe dan hubungkan ke instans. Ganti <instance_id> dengan ID instans dari Langkah 2.1.

ali-instance-cli.exe session --instance <instance_id>

Contoh: hubungkan ke instans dengan ID i-bp1******:

ali-instance-cli.exe session --instance i-bp1******

Setelah koneksi berhasil, Anda dapat mengakses antarmuka baris perintah instans tersebut.

macOS/Linux

Di terminal, buka direktori ali-instance-cli dan hubungkan ke instans. Ganti <instance_id> dengan ID instans dari Langkah 2.1.

./ali-instance-cli session --instance <instance_id>

Contoh: hubungkan ke instans dengan ID i-bp1******:

./ali-instance-cli session --instance i-bp1******

Output berikut menunjukkan koneksi berhasil. Anda kini dapat mengakses antarmuka baris perintah instans tersebut.

Fitur lainnya

Session Manager CLI (ali-instance-cli) juga mendukung fitur-fitur berikut:

Akses instans yang tidak memiliki Alamat IP publik (port forwarding)

Petakan port instans ke port lokal untuk mengakses layanan pada instans tanpa Alamat IP publik, tanpa melewati proxy atau jump server.
Daftarkan kunci publik SSH sementara

Daftarkan kunci publik sementara ke instans target dan gunakan kunci privat yang sesuai untuk koneksi SSH.

FAQ

Baris perintah tidak merespons setelah menjalankan perintah (Instans tidak dalam status Running)

Jika baris perintah tidak merespons setelah menjalankan perintah ali-instance-cli, kemungkinan instans tidak berada dalam status Running. Untuk melihat status instans, lihat Check whether the instance is in the Running state dalam topik ini.

Baris perintah tidak merespons setelah menjalankan perintah (Masalah konfigurasi security group)

Jika baris perintah tidak merespons setelah menjalankan perintah ali-instance-cli, kemungkinan port outbound yang diperlukan belum dibuka di security group. Secara default, basic security groups mengizinkan seluruh trafik outbound. Masalah ini dapat terjadi jika Anda mengubah aturan outbound atau menggunakan advanced security group.

Saat menggunakan Session Manager untuk menghubungkan ke Instance ECS, pastikan Cloud Assistant Agent yang berjalan di Instance ECS terhubung ke server Cloud Assistant dengan menambahkan aturan berikut ke security group outbound:

Dibandingkan dengan metode koneksi seperti SSH dan Remote Desktop Protocol (RDP), Cloud Assistant Agent secara aktif membuat koneksi WebSocket ke server Session Manager. Anda hanya perlu membuka port outbound WebSocket dari server Cloud Assistant dalam aturan security group. Untuk informasi tentang cara kerja Session Manager, lihat bagian How Session Manager works dalam topik ini.

Penting

Jika Anda menggunakan basic security groups termasuk default security group, seluruh trafik outbound diizinkan. Tidak diperlukan konfigurasi tambahan.
Jika Anda menggunakan advanced security group, seluruh trafik outbound ditolak. Anda harus mengonfigurasi aturan yang relevan. Tabel berikut menjelaskan aturan tersebut. Untuk informasi tentang security group, lihat Basic and advanced security groups.

Untuk informasi tentang cara menambahkan aturan ke security group, lihat Add a security group rule.

Action	Priority	Protocol type	Port range	Authorization object	Description
Allow	1	Custom TCP	443	`100.100.0.0/16`	Port ini digunakan untuk mengakses server Cloud Assistant.
Allow	1	Custom TCP	443	`100.0.0.0/8`	Port ini digunakan untuk mengakses server tempat paket instalasi Cloud Assistant Agent disimpan saat Anda ingin menginstal atau memperbarui Cloud Assistant Agent.
Allow	1	Custom UDP	53	`0.0.0.0/0`	Port ini digunakan untuk menyelesaikan nama domain.

Jika Anda hanya ingin menghubungkan ke instans menggunakan Session Manager, hapus aturan inbound yang mengizinkan port SSH (default 22) dan port RDP (default 3389) dari security group untuk meningkatkan keamanan Instance ECS.

Terjadi error DeliveryTimeout setelah menjalankan perintah (Cloud Assistant Agent offline)

Jika terjadi error DeliveryTimeout saat menjalankan perintah ali-instance-cli, kemungkinan Cloud Assistant Agent tidak tersedia. Periksa apakah Cloud Assistant Agent telah terinstal pada instans.

Terjadi error "session manager is disabled, please enable first" setelah menjalankan perintah

Jika terjadi error session manager is disabled, please enable first setelah menjalankan perintah ali-instance-cli, aktifkan Session Manager di Konsol.

Koneksi secara otomatis tertutup karena periode inaktivitas yang lama

Koneksi Session Manager akan tertutup setelah timeout waktu idle. Nilai default adalah 3 menit. Gunakan parameter --idle-timeout untuk mengatur timeout waktu idle khusus dalam satuan detik.

Contoh: hubungkan dengan timeout waktu idle 10 menit:

./ali-instance-cli session --instance instance-id --idle-timeout 600

Catatan

Fitur ini memerlukan versi ali-instance-cli:

Linux: 1.2.0.48
Windows: 1.1.0.48
macOS: 1.3.0.48

Cara menganalisis log ali-instance-cli

Analisis log ali-instance-cli untuk mengidentifikasi masalah.

Log Session Manager CLI: Saat menggunakan ali-instance-cli, folder log (misalnya ~/log/aliyun_ecs_session_log.2022XXXX) akan dibuat di direktori tool.

Log Cloud Assistant Agent:

Linux

/usr/local/share/aliyun-assist/<Cloud Assistant Agent version>/log/

Windows

C:\ProgramData\aliyun\assist\<Cloud Assistant Agent version>\log